導入 — なぜ今LLM搭載メール防御を検証するのか
生成AIとLLMの進化により、攻撃側はより高品質で個別化されたフィッシング／スピアフィッシングメールを短時間で大量生成できる一方、防御側もLLMを応用した検知・説明生成機能を製品に組み込む流れが加速しています。商用製品でもAI/LLM機能の採用が広がっており、ベンダーはネイティブにAIを組み込んだ検出や説明機能を打ち出すようになっています。
一方で、研究コミュニティは「LLMは高い検出能力を示すが、同時に攻撃生成への悪用や敵対的入力に弱い」ことを報告しており、実運用では性能と誤検知・運用負荷のバランスが重要になります。実証研究ではLLMによる検出が高精度を示す例がある反面、LLMを用いた攻撃生成も急速に進化しています。これらの知見は本レビューの検証設計に直接反映しています。
検証プロトコル（攻撃生成→配信→検知のフロー）
以下は実戦的かつ再現性の高い検証プロトコルです。目的は「現実的なLLM生成攻撃を再現」し、「製品の検出能力」「誤検知率」「説明力／原因帰属」を定量評価することです。
1) 攻撃生成フェーズ
- ターゲットプロファイル作成：職務、組織階層、公開情報（SNS、社内ポータル）を用いたターゲット・シナリオを複数準備する。
- LLMによるメール生成：複数のモデル／プロンプトセット（汎用プロンプト、ステルスプロンプト、複数言語バージョン）を用いて攻撃文面を生成する。研究ではこの手法で高品質なスピアフィッシングが作成可能であり、検知回避のための反復改良ループ（生成→自己批評→改良）を組み込むと成功率が上がると報告されています。
- 多様なベクタ（URL短縮／リダイレクト、添付ファイル形式、MIME改変、差出人偽装）を組み合わせ、実運用に近い配信シナリオを用意する。
2) 安全な配信とサンドボックス
テストは隔離環境（専用テナント／擬似ユーザーボックス）で実施し、実際の受信箱で誤配信が起きないようにする。サンドボックス実行時には、添付ファイルの動的解析とリンク先のブラウザサンドボックス解析を組み合わせることが重要です。
3) 検知評価のセットアップ
- 評価データセット：LLM生成攻撃（複数モデル）＋既知の既存フィッシング＋正規メール（業務メールコーパス）をバランス良く準備する。
- 評価シナリオ：メールゲートウェイ段階でのブロック、受信箱段階での警告ラベル、エンドユーザー向け説明生成（なぜ危険か）を個別に計測する。
4) 再現性と攻撃者視点の反復
攻撃生成段階で"生成→検知テスト→改良"のループを数回回し、ベンダー製品がこの改良をどう耐えるか（検知回避率の変化）を追跡します。研究では、攻撃側もLLMを用いて検知回避を自動化できるため、この反復評価は必須です。
評価指標と運用KPI：何を測るか
評価では従来の分類指標に加え、説明可能性と運用負荷を計測します。主要指標は以下の通りです。
| カテゴリ | 指標 | 詳細／測定方法 |
|---|---|---|
| 検出性能 | 真陽性率（TPR）・精度（Precision）・F1 | 攻撃メール群に対する検出割合と誤警告のバランスを測定 |
| 誤検知 | 偽陽性率（FPR）・業務影響率 | 正規メールが誤判定された割合、業務遅延や問い合わせ増加を評価 |
| 回避耐性 | バイパス率（改良ループ後） | 攻撃生成の反復後に検知をバイパスできた割合を測定 |
| 説明力 | ユーザー向け警告の妥当性・誤誘導率 | 自動生成された説明文が正しい根拠を示せるか、誤誘導がないかをサンプリング評価（ヒューマンラベリング） |
| 運用負荷 | アラート件数/日・調査工数 | 誤検知を含めたアラートに対する平均対応時間と人手コストを計測 |
近年の研究はLLMが単発のURL判定や文脈解釈で高いスコアを出す一方、敵対的に最適化された攻撃に対して脆弱であることを示しています。実測では、正しい評価基盤（多様な攻撃サンプル、反復改良を含む）を用いないと過大評価につながるため注意してください。